«Cómo proteger tus datos y privacidad si utilizas webs de citas» artículo de El Confidencial con la opinión de Alejandro Touriño, Socio de IT de ECIJA

32 millones de usuarios de la página para adúlteros Ashley Madison están ahora mismo temblando. Ayer el hacker (o grupo de hackers) autodenominado The Impact Team publicó los nombres, emails, teléfonos y transacciones bancarias de los clientes de esta web. Los motivos del ataque aún no están claros, pero hay una realidad: la privacidad de millones de personas y, con ella, sus vidas y engaños, acaban de quedar al aire en internet. Como usuarios no podemos evitar que una web sea hackeada pero sí podemos tomar medidas para proteger casi al máximo nuestra intimidad.

El ataque a Ashley Madison no sería tan grave e inusual si se tratara de una web de citas al uso como Meetic o aplicaciones como Tinder. Pero Ashley Madison basaba su negocio justo en el secretismo, en el engaño. «La vida es corta. Ten una aventura«. Ese era su lema. Que los datos personales de casi la totalidad de su base de clientes (en torno a 40 millones) hayan quedado al descubierto es una brutal bofetada tanto para la compañía como para sus clientes. Sin embargo, como usuarios, siempre podemos poner las cosas más difíciles a quienes quieran explotar estas filtraciones masivas.

El descuido de la gente en seguridad online básica llega a niveles de utilizar tu email de trabajo en web de citas

«Lo más sorprendente es la gran cantidad de emails de trabajo que han aparecido en las direcciones filtradas. Es un error garrafal. Es importante señalar que Ashley Madison no pedía verificar el email al darte de alta, por lo que muchas de esas direcciones serán falsas. Pero no creo que sean la mayoría. El descuido de la gente en seguridad online básica llega a estos niveles», explica a Teknautas David Barroso, director ténico de la firma especializada en seguridad informática ElevenPaths.

Miles de direcciones de email de las 36 millones filtradas ya han aparecido publicadas online. Y muchas de ellas son direcciones de trabajo. Un ejemplo es el gráfico debajo. IBM, Boeing o Amazon están entre algunas de las compañías cuyos empleados utilizaban sus emails corporativos para darse de alta en Ashley Madison. Cientos finalizaban en .va, dominio asociado al Estado del Vaticano. Ahora mismo es imposible saber qué porcentaje del total de emails publicados se corresponde con direcciones reales y no «robadas» al azar en Internet por terceras personas pero, cuando menos, el «error garrafal» es significativo.

Utiliza una máquina virtual

Más allá de lo básico (que se nos suele olvidar), Barroso recomienda optar por opciones relativamente sencillas como crear una máquina virtual en el ordenador desde el que nos conectemos. Es decir, instalar un sistema operativo invitado que solo utilizaremos para entrar en estas páginas de citas. Esto dificultará que alguien pueda rastrear la actividad online y descubrir nuestra verdadera identidad.

«Todo depende del nivel de paranoia que uno tenga, pero lo más recomendable es utilizar Tails. Es un paquete que ya viene con sistema operativo, TailOS, y con el navegador Tor que evita que rastreen tu dirección IP. Solo lo tienes que descargar en una memoria USB, lo instalas en una máquina virtual y listo», explica Barroso. Otra opción es utilizar un USB de Linux como sistema operativo en una máquina virtual y sumarle el navegador «anónimo» Tor. El resultado es el mismo: en caso de que nuestros datos acaben pululando por internet será más difícil que alguien sepa en cinco minutos quiénes somos.

Deja de usar Google, Gmail y WhatsApp

De poco sirve utilizar un navegador anónimo como Tor sobre TailOS si luego utilizamos Google o Gmail. Todo lo que hacemos en Internet deja un rastro. Como migas de pan. Si visitamos una web de citas, luego buscamos algo en Google y enviamos un correo con Gmail, estamos dejando un rastro online. Alguien que conozca nuestra dirección IP (basta con que respondamos a un email para averiguarla con varias herramientas sencillas), podría cruzarla con los datos filtrados en un hackeo como el de Ashley Madison para dar con nuestra identidad.

«Lo más recomedable es utilizar servicios de correo con mayor nivel de privacidad, como ProtonMail, y buscadores como DuckDuckGo. Eso, unido a la utilización de una máquina virtual y un navegador como Tor, complica mucho las cosas a quien quiera rastrearte», señala Barroso. ¿Qué hay del movil y de aplicaciones de mensajería como WhatsApp? «Lo ideal es tener un segundo móvil solo para entrar en estas páginas, o incluso uno con SIM anónima. La puedes comprar en el extranjero y luego utilizarla en España. Y, por supuesto, pasar de WhatsApp. Es una de las aplicaciones con peor seguridad. Threema es probablemente la alternativa más recomendable».

Desconfía

Además del aspecto técnico, hay un frente legal. Nadie los lee, pero es vital repasar los términos de uso de estas páginas de citas (en realidad de todas) en busca de algo que nos haga sospechar. Por ejemplo: Ashley Madison ofrecía un servicio de pago por 20 dólares que permitía, según ellos, eliminar de un plumazo y por completo todos tus datos de su web. Según los documentos filtrados, llegaron a ingresar casi 2 millones de dólares el año pasado solo con este botón de «autodestrucción». Pero hay un problema: en España, al menos, esto es ilegal.

En España, si el pago de un servicio está solo justificado por la cancelación, es ilegal

«Cobrar por darse de baja de un servicio es ilegal en muchos países», explica a Teknautas Alejandro Touriño, abogado especializado en Internet. «En España, si el pago de un servicio está solo justificado por la cancelación, es ilegal. Las compañías pueden intentar disfrazar esto de otra forma, por ejemplo como cancelaciones anticipadas, pero tal y como lo planteaba Ashley Madison es algo que nos debería haber llevado a desconfiar». 

Curiosamente, el servicio de pagar por cancelar, o Full Delete, como lo llamaban, es justo una de las razones que los hackers de The Impact Team han esgrimido para atacar Ashley Madison. Su protesta desde luego no ha pasado desapercibida.

Para acceder a la versión del artículo haga click aquí

Para acceder a la edición PDF haga click aquí